如何将 ISA 服务器计算机配置为 DHCP 服务器

将 ISA 服务器计算机配置为 DHCP 服务器

概述

在某些配置中，您可能想在一台 DHCP 服务器上安装 Microsoft Internet Security and Acceleration (ISA) Server 2004。本文档将设法解决您在配置这样一个方案时可能会遇到的问题。

创建 DHCP 规则

默认情况下，当您在一台 DHCP 服务器上安装 ISA 服务器时，DHCP 服务器不会对请求做出响应。要使 DHCP 服务器运行，您需要创建下列规则：

一条允许从 DHCP 客户端所在的网络向本地主机网络发送 DHCP 请求的规则。

一条允许从本地主机网络向 DHCP 客户端所在的网络发送 DHCP 答复的规则。

允许 DHCP（请求）协议

在此过程中，DHCP 客户端位于内部网络中。要允许 DHCP（请求）协议，请执行以下步骤。

1.在“ISA 服务器管理的“防火墙策略节点中，右键单击“防火墙策略，指向“新建，然后单击“访问规则。

2.在“新建访问规则向导中，为该规则键入一个名称。例如：允许 DHCP 请求。然后，单击“下一步。

3.在“规则操作页上，单击“允许。然后，单击“下一步。

4.在“协议页上，在“此规则应用于中，单击“所选的协议。然后单击“添加。

5.在“添加协议中，在“所有协议部分单击“DHCP（请求）。单击“添加，单击“关闭，然后单击“下一步。

6.在“访问规则来源页上，单击“添加。

7.在“添加网络实体中，在“网络部分单击“内部。单击“添加，单击“关闭，然后单击“下一步。

8.在“访问规则目标页上，单击“添加。

9.在“添加网络实体中，在“网络部分单击“本地主机。单击“添加，单击“关闭，然后单击“下一步。

10.在“用户设置页上，默认情况下“所有用户已选中。单击“下一步，然后单击“完成。

允许 DHCP（答复）协议

在此过程中，DHCP 客户端位于内部网络中。要允许 DHCP（答复）协议，请执行以下步骤。

1.在“ISA 服务器管理的“防火墙策略节点中，右键单击“防火墙策略，指向“新建，然后单击“访问规则。

2.在“新建访问规则向导中，为该规则键入一个名称。例如：允许 DHCP 答复。然后，单击“下一步。

3.在“规则操作页上，单击“允许。然后，单击“下一步。

4.在“协议页上，在“此规则应用于中，单击“所选的协议。然后单击“添加。

5.在“添加协议中，在“所有协议部分单击“DHCP（答复）。单击“添加，单击“关闭，然后单击“下一步。

6.在“访问规则来源页上，单击“添加。

7.在“添加网络实体中，在“网络部分单击“本地主机。单击“添加，单击“关闭，然后单击“下一步。

8.在“访问规则目标页上，单击“添加。

9.在“添加网络实体中，在“网络部分单击“内部。单击“添加，单击“关闭，然后单击“下一步。

10.在“用户设置页上，默认情况下“所有用户已选中。单击“下一步，然后单击“完成。

排序 DHCP 请求规则

DHCP 请求目标是一个广播地址。ISA 服务器不会对广播通讯执行名称解析，而会拒绝这种通讯。如果有一条允许或拒绝规则匹配 DHCP 请求并要求进行名称解析，并且此规则在规则顺序中高于您所创建的 DHCP 请求规则，则 DHCP 通讯可能会被拒绝。

要求进行名称解析的'规则在目标（至）条件中包含一个域名称集或一个 URL 集。请注意，如果在此规则中有其他不匹配 DHCP 请求的条件，就不会发生冲突。

为避免冲突，应确保您配置的允许 DHCP 请求的规则在规则排序中高于其他任何匹配 DHCP 请求的、使用名称解析的规则。从下面的例子中可以看出此原则。

此规则将不会生效：

1.拒绝所有来自 www.attack.com 的协议

2.允许从内部向本地主机发送的 DHCP 请求

　 　此规则将会生效：

1.拒绝来自 www.attack.com 的 HTTP 协议

2.允许从内部向本地主机发送的 DHCP 请求

此规则将会生效：

1.允许从内部向本地主机发送的 DHCP 请求

2.拒绝所有来自 www.attack.com 的协议

　

当创建邮件服务器发布规则时，ISA Server 2004创建允许客户端访问其邮件服务器所需的必要发布规则。根据所指定的邮件服务器的类型，将配置Web发布规则或服务器发布规则，以便允许使用用户指定的协议访问邮件服务器。 可以从已发布的邮件服务器所提供的下列访问类型中选择一种。 * Web客户端访问：允许客户端访问Outlook Web Access、Outlook Mobile Access或 Exchange Application Services服务器。如果选择此选项，ISA服务器将配置适当的Web发布规则。 * 客户端访问：允许客户端使用远程过程调用(RPC)、Intemet消息访问协议版本 4revl(IMAP4)、邮局协议版本3(POP3)或简单邮件传输协议(SMTP)来访问其邮件。当 选择此选项时，将针对选定的每个协议创建服务器发布规则。 * 服务器到服务器的通信。允许SMTP(邮件)服务器和NNTP(新闻)服务器访问。在发布邮件服务器时，我们建议您将邮件服务器的FQDN名称配置为ISA服务器计算机的外部DNS名称。采用这种方式，邮件服务器的内部名称将不会公开，因此不易受到攻击。 1． SMTP筛选 如果安装并启用了SMTP筛选器，可以应用SMTP筛选。 ISA Server 2004是复杂的应用程序层知晓防火墙，可以配置为阻止不想要的电子邮件，包括危险的病毒和蠕虫。ISA服务器进行SMTP邮件的检测，阻止危险代码和不想要的电子邮件进入公司网络。 ISA服务器使用两个组件保护公司网络。 1) SMTP筛选器 ISA服务器拦截到达ISA服务器计算机25端口的所有SMTP通信。SMTP筛选器接受并 检查通信，并只有在规则允许的情况下，才传递该通信。SMTP筛选器可以与消息筛选程序一起工作，以提供更深入的内容检查。 默认情况下，SMTP筛选器应用于SMTP和SMTP Server协议。只有在通信是在安全通道 上进行(使用TLS)的情况下，ISA服务器才支持Exchange服务器计算机之间的林间通信。 在启用了SMTP筛选器事件警报的情况下，如果SMTP命令由于违反了SMTP筛选器的某 个条件而被阻止，将仅记录被阻止的消息。该警报默认情况下被禁用。 SMTP筛选器检查Intemet SMTP服务器和客户端发送的SMTP命令。该筛选器可以拦截 SMTP命令并检查它们是否超过了应有的大小。大小超过配置限制的SMTP命令将被视为是向 SMTP服务器发起的攻击，可以由SMTP筛选器阻止。 每个SMTP命令都有关联的最大长度。此长度表示每个命令所被允许的字节数。如果攻击者发送超过所允许的命令字节数的命令，ISA服务器将断开连接，并阻止攻击者与公司邮件服务器通信。 如果客户端使用的是已定义但被禁用的命令，则筛选器将关闭该连接。如果客户端使用的是SMTP筛选器不识别的命令，将不会对该消息执行筛选。如果客户端使用的是TURN命令， 则筛选器将丢弃所有电子邮件消息。 RFC将AUTH命令视为MAIL FROM命令的一部分。为此，SMTP筛选器将只有在MAIL FROM命令超过所发出的MAIL FROM和AUTH命令长度之和的情况下(当启用AUTH时)才 将其阻止。例如，如果指定MAIL FROM和AUTH的最大长度分别分别为266字节和1024字 节，则只有当MAIL FROM命令超过1290字节时才阻止消息。 2) SMTP消息筛选程序 ISA服务器包含以下两个组件，可以帮助用户防止在网络上出现邮件转发、病毒侵入及不 需要的附件：简单邮件传输协议(SMTP)筛选器和消息筛选程序。消息筛选程序是ISA服务器 的一个可选组件，可以独立于ISA服务器和“ISA服务器管理”单独安装。 SMTP消息筛选程序与SMTP筛选器一起使用，可以拦截到达ISA服务器计算机的TCP 端口(端口号25)上的所有SMTP通信。消息筛选程序旨在用于筛选垃圾邮件。它的主要目的是按照规范筛选从不受欢迎的发件人和域发送的关键字、附件和电子邮件。该组件必须安装在运行Internet信息服务(IlS)6．0或IIS5．0的SMTP服务器上。该服务器不必是ISA服务器计算机。例如，消息筛选程序可以安装在ISA服务器计算机上、Exchange服务器计算机上或其他任何运行IIS6．0或IIS5．0的内部SMTP服务器l：。 注意：如果不在ISA服务器计算机上安装消息筛选程序，那么必须相应地创建一条访问规则，以便允许消息筛选程序使用MS防火墙控制协议访问本地主机网络。 SMTP消息筛选程序可以根据以下条件筛选传入邮件。 * 在MAIL FROM SMTP命令中发送的值。此项用于筛选发件人和域名。 * 每个附件的内容部署标头字段。此字段通常包含附件文件名和扩展名。消息筛选程序可以按照扩展名、名称或大小筛选附件。 * 关键字筛选。此项用于筛选邮件主题和正文(文本／纯文本或文本／html内容类型)。 可以将SMTP消息筛选程序配置为删除电子邮件、保留电子邮件以便日后检查，或将电子邮件转发到安全管理员账户以便进行进一步的检查和分析。 例如，假设有一个常见病毒发送包含特定关键字的垃圾邮件。可以将消息筛选程序配置为接收到带有此关键字的电子邮件之后执行下列三种操作之一。 * 删除邮件； * 保留邮件； * 转发邮件。 2．RPC筛选 当发布RPC类型的邮件服务器时，可以应用R2C筛选。 ISA服务器处理网络外部的客户端与位于网络内部的远程过程调用(RPC)服务器之间的所 有RPC通信。使用ISA服务器RPC筛选器，可以将一个或多个UUID接口指定为RPC协议定 义。此协议定义用于服务器的ISA服务器发布规则中，以便外部客户端可以访问内部RPC服务器上的UUID接口。 默认情况下，RPC筛选器应用于RPC和RPC服务器协议。 1) Exchange服务器发布和RPC筛选器 从远程站点访问Exchange服务器的常见方法是使用完整的Outlook MAPI客户端。用户喜欢使用当直接连接到公司刚络时他们所使用的完整的Outlook MAPI客户端来收发电子邮件。防火墙和安全管理员所面临的主要困难是确保完整Outlook MAPI客户端远程访问连接的安全性。远程访问Microsoft Exchange RPC服务(对于Outlook MAPI客户端访问是必需的)可以要求在Intemet边缘防火墙上存在大量静态打开的端口。允许远程访问Exchange RPC服务所需的静态打开端口数对于改善从远程位置使用Outlook收发邮件的体验一直是一个屏障。 在传统的防火墙上，要启用这一类型的访问，在传统防火墙上的大量静态打开端口会使安全和防火墙管理员对于是否允许使用完整的Outlook MAPI客户端进行远程访问而犹豫不决。一个重要的考虑冈素是RPC和DCOM服务可能受到专门设计的病毒和蠕虫的攻击。如果使用传统的防火墙(不识别RPC应用程序层)，那么RPC蠕虫可能会通过此端口号攻击网络。此类攻击可能会感染Exchange服务器，继而感染公司网络中的其他计算机。 ISA服务器RPC筛选器允许强制建立与公司Exchange服务器的安全Outlook MAPI连接。 RPC筛选器会阻止来自公司网络的出站RPC蠕虫连接。此筛选器可以帮助用户防止RPC蠕虫 连接遗留在公司网络中，并阻止网络中的主机感染Intemet上的计算机。 RPC筛选器还可以用于强制从Outlook MAPI客户端建立安全的RPC连接。如果启用此功能，从远程OutlookMAPI客户端发出的连接请求将必须通过安全的加密通道完成。如果连接不安全，ISA服务器将丢弃客户端请求。这使得ISA服务器(而不是用户)可以控制安全级别。 2) 针对Outlook客户端的RPC筛选 下面说明了何时在Outlook MAPI客户端与ISA服务器之间建立最初的RPC终结点映射程序连接。 * Outlook MAPI客户端与ISA服务器的外部接口上的TCP端口135建立连接。 * RPC筛选器对连接中的数据包进行状态检查。如果检测到无效的RPC通信，将断开连接。 * 来自Outlook MAPI客户端的有效RPC连接被转发到Exchange服务器。Exchange服务器用客户端对后续数据连接使用的端口号响应该请求。 * ISA服务器拦截响应，并将端口号更改为ISA服务器的外部接口上可供Outlook MAPI客户端使用的有效端口。 * ISA服务器将用于与Exchange服务器的后续通信的端口号转发到Outlook MAPI客户端。 下面是建立终结点映射程序连接后，Outlook MAPI客户端与Exchange服务器之间的通信顺序。 (1)Outlook MAPl客户端与ISA服务器指定使用的MAPI端口建立连接。ISA服务器屏蔽RPC命令，以确保其不会在通道内被利用。 (2)ISA服务器将Outlook MAPI客户端发送的信息转发到Exchange服务器RPC服务。 (3)Exchange服务器响应Outlook MAPI客户端，而ISA服务器却拦截响应。RPC筛选器屏蔽这些响应并更改源端口号。 (4)ISA服务器将响应转发到Outlook MAPI客户端。 3)严格的RPC符合性 可以基于每条规则配置出站RPC协议，以强制实现严格的RPC符合性。默认情况下，对RPC协议强制实现严格的符合性。通过强制实现严格的符合性，RPC类型的协议f如DCOM)将不允许通过ISA服务器。

isa

服务器是内外网的中转口，有多个ip,当出现路由堵塞，动态路由出现问题等情况下，有可能会导致无法连接远程桌面，解决方法如下设置一下即可:

在isa服务器上

开始->运行-〉mmc->添加/删除管理单元-〉添加-〉终端服务配置-〉连接-〉网卡-〉设置成某个网卡(比如内网的网卡或外网的网卡)

指定一个具体的网卡，这样只要连这个网卡对应的地址就一定会连上去。

转贴自

www.it168bbs.com

IT故障交流论坛

---